JPH09251267A

JPH09251267A - 暗号化装置及び暗号化方法

Info

Publication number: JPH09251267A
Application number: JP8059789A
Authority: JP
Inventors: Hideo Shimizu; 秀夫清水; Shinichi Kawamura; 信一川村
Original assignee: Toshiba Corp
Current assignee: Toshiba Corp
Priority date: 1996-03-15
Filing date: 1996-03-15
Publication date: 1997-09-22

Abstract

(57)【要約】【課題】処理速度を考慮して少ない段数の変換部で装置
を構成した場合であっても暗号文の安全性をより増大さ
せることができる暗号化装置を提供すること。【解決手段】内部状態を記憶するための内部状態記憶手
段２と、この内部状態記憶手段２に記憶された内部状態
を更新するための内部状態更新関数３と、暗号化すべき
データと、暗号化鍵と、内部状態記憶手段２に記憶され
た内部状態とを受けて暗号化変換を行なうＦ関数１とを
具備するラウンド関数８を複数段設けた暗号化装置であ
って、Ｆ関数１により暗号化変換を行なうたびに、内部
状態記憶手段２に記憶された内部状態を内部状態更新関
数３によって更新する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は暗号化装置及び暗号
化方法に関し、特に、Feistel 型ブロック暗号において
暗号文の安全性を強化した暗号化装置及び暗号化方法に
関する。

【０００２】

【従来の技術】比較的安全性に劣った暗号をラウンド関
数とみなし、これを複数段積み重ねることによって安全
性を強化する暗号化方法が従来より知られている。この
ような暗号は積暗号と呼ばれているが、特に、Feistel
型ブロック暗号は暗号化回路と復号化回路とを共有でき
ることから、装置規模を小さくできる利点がある。「現
代暗号理論」、電子情報通信学会、池野信一、小山謙二
著、はこのような暗号化装置を開示している。

【０００３】また、特開昭５１−１０８７０１号公報や
特開昭５１−１０８７０２号公報はFeistel 型ブロック
暗号の代表的な暗号として良く知られているＤＥＳ(Dat
a Encryption Standard)型暗号の基本的な考え方を開示
している。

【０００４】さらに、特開平６−２６６２８４号公報
は、暗号化変換を制御しているビット列としての中間鍵
を、暗号化が行われる都度更新することによって、長い
平文の列を暗号化するときに同じ鍵で暗号化した多量の
暗号文を解読者に与えないようにする方法を開示してい
る。

【０００５】一方、上記したFeistel 型暗号を解読する
ための有力な方法として、変換部の入出力関係に着目し
て暗号文の解析を行なう差分攻撃と呼ばれる攻撃法が知
られている。このような差分攻撃から暗号文を守るため
には、変換部の段数を増加させればよい。

【０００６】

【発明が解決しようとする課題】しかしながら、上記し
た従来技術はいずれも、差分攻撃から暗号文を守るため
に変換部の段数を増やすと、処理速度が低下してしまう
欠点があった。逆に、処理速度を重視して変換部の段数
を少なくすると差分攻撃によって暗号文が解読されてし
まうという問題があった。

【０００７】本発明はこのような課題に着目してなされ
たものであり、その目的とするところは、処理速度を考
慮して少ない段数の変換部で装置を構成した場合であっ
ても暗号文の安全性をより増大させることができる暗号
化装置及び暗号化方法を提供することにある。

【０００８】

【課題を解決するための手段】上記の目的を達成するた
めに、第１の発明に係る暗号化装置は、内部状態を記憶
するための記憶手段と、この記憶手段に記憶された内部
状態を更新するための内部状態更新手段と、暗号化すべ
きデータと、暗号化鍵と、前記記憶手段に記憶された内
部状態とを受けて暗号化変換を行なう暗号化変換手段と
を具備する変換部を複数段設けた暗号化装置であって、
前記暗号化変換手段により暗号化変換を行なうたびに、
前記記憶手段に記憶された内部状態を前記内部状態更新
手段によって更新する。

【０００９】また、第２の発明に係る暗号化装置は、暗
号化すべきデータと、暗号化鍵とを受けて暗号化変換を
行なう暗号化変換手段と、内部状態を記憶する記憶手段
と、この記憶手段に記憶された内部状態を更新するため
の内部状態更新手段とを具備する変換部を複数段設けた
暗号化装置であって、前記暗号化変換手段により暗号化
変換を行なうたびに、前記記憶手段に記憶された内部状
態を前記内部状態更新手段によって更新しつつ、前記記
憶手段に記憶された内部状態に応じて前記暗号化変換手
段の出力を制御する。

【００１０】また、第３の発明に係る暗号化方法は、内
部状態を記憶手段に記憶する記憶工程と、記憶された内
部状態を内部状態更新手段によって更新する内部状態更
新工程と、暗号化すべきデータと、暗号化鍵と、記憶さ
れた内部状態とを受けて暗号化変換手段によって暗号化
変換を行なう暗号化変換工程とを具備する変換工程を複
数回行なう暗号化方法であって、前記暗号化変換工程に
おいて暗号化変換を行なうたびに、前記記憶手段に記憶
された内部状態を前記内部状態更新手段によって更新す
る工程を具備する。

【００１１】また、第４の発明に係る暗号化方法は、暗
号化すべきデータと、暗号化鍵とを受けて暗号化変換手
段によって暗号化変換を行なう暗号化変換工程と、記憶
手段に内部状態を記憶する記憶工程と、記憶された内部
状態を内部状態更新手段によって更新する内部状態更新
工程とを具備する変換工程を複数回行なう暗号化方法で
あって、前記暗号化変換工程において暗号化変換を行な
うたびに、前記記憶手段に記憶された内部状態を前記内
部状態更新手段によって更新しつつ、前記記憶手段に記
憶された内部状態に応じて前記暗号化変換手段の出力を
制御する工程を具備する。

【００１２】

【発明の実施の形態】以下に、図面を参照して本発明の
実施形態を詳細に説明する。

【００１３】図１は本発明が適用される変換部としての
ラウンド関数８の構成を示す図であり、暗号化すべき平
文４と、暗号化鍵５と、内部状態６とを受けて所定の暗
号化変換を行って出力７を出力する暗号化変換手段とし
てのＦ関数１と、内部状態６を記憶するための内部状態
記憶手段２と、Ｆ関数１での暗号化変換が行われるたび
に、すなわち、暗号化変換と同時に内部状態６を更新す
る内部状態更新関数３とを具備している。図１は第１段
のラウンド関数を示しているが、第２段以降のラウンド
関数では平文４の代わりに前の段のラウンド関数の出力
が入力される。

【００１４】このような構成によれば、同じ平文、暗号
化鍵が入力された場合でも、更新可能な内部状態によっ
て出力が変更されるので、ラウンド関数の入出力関係の
解析に基づく差分攻撃に対して有効な防御法となりラウ
ンド関数の安全性を増大させることができる。また、同
じ程度の安全性を考慮した場合は少ない段数のラウンド
関数で装置を構成することができる。また、内部状態の
更新はラウンド関数内のＦ関数の暗号化変換処理と同時
に行なうので、ラウンド関数全体の処理効率はほとんど
変わらず、ラウンド関数の段数を減らせる分、処理速度
を増大させることができる利点がある。

【００１５】図２は上記したラウンド関数をｎ段並置し
た積暗号の構成例を示す図である。同図において、暗号
化鍵１６は鍵処理部１７に入力されてｎ個の拡大鍵１〜
ｎに変換されてｎ段のラウンド関数１２〜１５にそれぞ
れ入力される。このような構成によれば、平文１１はｎ
段のラウンド関数による暗号化変換処理を経て、暗号文
１８として出力される。ここで、平文１１と暗号文１８
は固定長であってもよいし、可変長であってもよい。ま
た、平文１１の長さと暗号文１８の長さは一致していな
くともよい。

【００１６】図３は内部状態が内部状態更新関数３によ
って逐次更新されていく経過を示す図である。すなわ
ち、内部状態１（２２）は最初、初期状態２１に等しい
内部状態であるが、内部状態更新関数２３によって更新
されて内部状態２（２２）になる。次にこの内部状態２
（２２）は内部状態更新関数２３によって更新される。
このようにして、内部状態が逐次更新されていく。ここ
で、内部更新関数２３が一方向性の関数である場合に
は、仮に内部状態ｋが第３者に知られることによりｋよ
り大きい番号をもつ内部状態が解読されたとしても、過
去に遡ってｋよりも小さい番号の内部状態が知られてし
まうことがなく、より安全である。

【００１７】図４は図１に示すラウンド関数８が、内部
状態初期化信号３１を入力するための入力部を有する場
合の動作を説明するための図である。内部状態記憶手段
３３に記憶された内部状態は、Ｆ関数３５に送信される
とともに、内部状態更新関数３４にも送信されて新たな
内部状態に更新される。このとき、外部から供給された
内部状態初期化信号３１が内部状態初期化制御部３２に
入力されると、内部状態初期化制御部３２は内部状態記
憶手段３３に記憶されている内部状態を初期化する。

【００１８】このように、本実施形態では、内部状態の
初期化を外部から制御することができる。ここで、内部
状態初期化制御部３２は安全性を考慮した場合、初期化
の頻度を監視する機能を有していることが望ましい。例
えば、１回の暗号化処理中には、１回しか初期化行えな
いようにするための監視機構を持つようにすることがで
きる。

【００１９】図５は暗号化装置をブロック暗号モードで
使用するときの動作を説明するための図である。平文４
１は複数の平文ブロック４２、４３、４４からなるもの
とすると、平文４１は各ブロックごとに暗号化関数４
６、５０、５２によって暗号化されて、暗号ブロック５
４、５５、５６に変換される。これらを並置したものが
暗号文５３となる。

【００２０】また、各暗号化関数４６、５０、５２の内
部状態はブロック毎に初期化信号４５、４９、５１によ
って初期化することができる。これによって、例えば、
平文ブロック４３と平文ブロック４４とが同じ内容Ａ、
Ａを持つものとすると、これらを暗号化した場合、同じ
内容Ｂ、Ｂをもつ暗号ブロック５５、５６に変換され
る。

【００２１】このように、本実施形態は、初期化機能を
有する暗号化装置をブロック暗号モードの下で動作させ
ることができる。

【００２２】図６は暗号化装置をストリーム暗号モード
で使用するときの動作を説明するための図である。平文
６１は複数の平文ブロック６２、６３、６４からなるも
のとすると、平文６１は各ブロックごとに暗号化関数７
０、７２、７３によって暗号化されて、暗号ブロック７
６、７７、７８に変換される。これらを並置したものが
暗号文７５となる。この実施形態では、暗号化関数７０
の内部状態は暗号化に先だって、初期化信号６５によっ
て１回だけ初期化される。したがって、例えば、平文ブ
ロック６３と平文ブロック６４とが同じ内容Ａ、Ａを持
つ場合であっても、これらを暗号化した場合、暗号化し
た結果は、異なる内容Ｂ、Ｂ′をもつ暗号ブロック７
７、７８に変換される。すなわち、

【数１】となる。

【００２３】このように、本実施形態は、初期化機能を
有する暗号化装置をストリーム暗号モードの下で動作さ
せることができる。

【００２４】図７は本発明を秘密通信に適用した場合の
作用を説明するための図である。送信側８７では、例え
ば平文ブロック８２と平文ブロック８３とからなる平文
８１をブロックごとに暗号化関数８４、８５によって暗
号化して、暗号ブロック８７、８８を得る。この暗号ブ
ロック８７、８８は通信路９０を介して受信側９７に送
信される。受信側９７では、暗号文９１を暗号ブロック
９２と暗号ブロック９３とに分解して、各ブロックごと
に復号化関数９４、９５によって復号して平文ブロック
９７、９８を得る。この平文ブロック９７、９８を並置
することによって元の平文９６が復元される。

【００２５】このとき、送信側８７と受信側９７にそれ
ぞれ、初期化信号生成部８９、９９を設け、あらかじめ
打ち合わせておいたタイミングで、暗号化関数８４、８
５の内部状態と、復号化関数９４、９５の内部状態とを
それぞれ、初期化信号２００、２０１、２０２、２０３
によって初期化するようにする。初期化信号生成部８
９、９９は初期化タイミングを内蔵しているものとす
る。ここで、初期化信号生成部８９、９９は、初期化タ
イミングの通信量を低減するために、例えば乱数発生器
によって構成して、乱数の種だけを交換するようにして
もよい。

【００２６】上記した実施形態によれば、受信側９７が
送信側８７の平文と同じ平文を復元するためには、復号
用の鍵の他に初期化のタイミングをも知っていなければ
ならない。したがって、不正な盗聴者が暗号を解読する
ためには、復号用の鍵に加えて、初期化タイミングをも
知らなければならないので、より安全な秘密通信を行な
うことができる。

【００２７】図８は本発明を秘密通信に適用した場合の
他の実施形態を示す図である。

【００２８】この実施形態においては、送信側８７では
初期化したい暗号化関数に対応する平文ブロック８２、
８３に、初期化を指示するための指示データとして特殊
記号２０４、２０６を付加しておく。平文８１を構成す
る平文ブロック８２、８３はブロックごとに暗号化関数
８４、８５によって暗号ブロック８７、８８に変換す
る。暗号ブロック８７、８８を並置したものが暗号文８
６となる。このとき、平文ブロック８２内の特殊記号２
０４、あるいは平文ブロック８３内の特殊記号２０６を
検出したときは、それぞれ初期化信号２０５、２０７に
よって暗号化関数８４、８５の内部状態を初期化するよ
うにする。暗号文８６は通信路９０を介して受信側９７
に送信される。

【００２９】受信側９７は、受信した暗号文９１を暗号
ブロック９２と暗号ブロック９３に分解し、復号化関数
９４、９５によってそれぞれ、平文ブロック９７、９８
に変換する。このとき、平文ブロック９７、９８内の初
期化を指示するための特殊記号２０８、２１０を検出し
たときは、それぞれ初期化信号２０９、２１１によって
復号化関数９４、９５の内部状態を初期化する。なお、
必要に応じて、平文ブロック９７、９８内の特殊記号２
０８、２１０を除去し、その後の平文ブロック９７、９
８を並置したものを平文９６としてもよい。

【００３０】このように、本実施形態では、内部状態を
初期化するタイミングを平文に含めるようにしたので、
送信者と受信者との間で、あらかじめ初期化のタイミン
グを打ち合わせておく必要がなくなる。

【００３１】図９は図１に示した内部状態更新関数３の
具体的構成を示す図であり、記憶素子１００と加算器１
０２とからなる線形レジスタから構成されている。記憶
素子１００は１ビットの情報を記憶できる素子であり、
例えば、Ｄフリップフロップである。

【００３２】各タップ１０１を接続するかどうかで様々
な特性多項式を表現することができる。例えば、タップ
１０１を接続するときを１、しないときを０とすると、Ｃ_rｘ^r＋Ｃ_r-1ｘ^r-1＋、…、＋Ｃ₁ｘ＋Ｃ₀ で表される特性多項式を表現することができる。特に、
表現多項式が原始多項式である場合、線形シフトレジス
タは最大系列長を出力することが知られている（今井秀
樹著、符号理論、電子情報通信学会）。原始多項式の例
としては、ｘ³¹＋ｘ³＋１などが知られている。

【００３３】線形シフトレジスタはクロック信号が入力
されるたびに、記憶素子１００の記憶内容が左隣の記憶
素子１００の内容で更新され、タップ１０１の接続状態
に応じて加算器１０２で加算された結果が一番左の記憶
素子１００に入力されるとともに出力１０３として出力
される。

【００３４】以下に、ＤＥＳ暗号を例にとって既存のブ
ロック暗号の安全性を強化する他の方法について述べ
る。

【００３５】まず、ＤＥＳ暗号の概要を説明する。図１
０はＤＥＳ暗号の全体構成を示す図である。まず、暗号
化したい６４ビットの平文１０５は初期転置１０６によ
りビットの順番が並び替えられた後、上位３２ビット
（入力Ｌ１１３）と下位３２ビット（入力Ｒ１１４）に
分割された後、同じ構成をもつ１６段のラウンド関数
（１〜１６）１０７によって１６回変換された後、最終
転置１０８が施されて、求める暗号文１０９となる。

【００３６】各ラウンド関数１０７はＦ関数１１０と、
排他的論理和１１１と、左右の変換１１２とによって構
成され、ｉ段目のラウンド関数の入力Ｌi とＲi とは、
ｉ段目の鍵をＫi とすると、Ｒi+1 ＝Ｌi XOR Ｆ（Ｒi 、Ｋi ）Ｌi+1 ＝Ｒi のように、ｉ＋１段目のラウンド関数の入力に変換され
る。

【００３７】図１１にＤＥＳ暗号におけるＦ関数の詳細
な構成を示す。Ｆ関数は２つの入力、すなわち、３２ビ
ットの入力Ｒ１１５と、４８ビットの鍵Ｋi １１６をも
ち、３２ビットの１つの出力１１７をもつ。

【００３８】以下、データの流れに沿って動作を説明す
る。入力された３２ビットの入力Ｒ１１５は拡大転置Ｅ
（１１８）、すなわちＥ変換によって４８ビットのデー
タに拡大される。図１２はこのような拡大転置Ｅに関す
る転置表であり、左上より、Ｅ変換された各出力ビット
が入力の何番目のビットになるかを示している。例え
ば、一番最初は３２なので、Ｅ変換の出力の１ビット目
は入力の３２ビット目と同一になる。Ｅ変換の出力の２
ビット目は、入力の１ビット目と同一であり、以下同様
である。

【００３９】次に、Ｅ変換の出力１１９と鍵Ｋi １１６
との排他的論理和が排他的論理和１２０でとられ、その
結果は６ビットずつの８つのグループに分割されて、換
え字部としての８つのＳ箱（Ｓ1 〜Ｓ8 ）１２１に入力
される。Ｓ箱１２１は６ビットの入力と４ビットの出力
とをもつ置換（換え字）表であり、図１４はこのような
置換表の一例を示している。

【００４０】Ｓ箱１２１の４ビットずつの８つの出力１
２２は束ねられて３２ビットの１つの出力１２３とな
り、Ｐ変換（Ｐ転置）１２４に入力される。Ｐ変換１２
４ではビットの順番の並び替えが行われ、３２ビットの
Ｆ関数の出力１１７となる。

【００４１】図１３は上記したＰ転置１２４の内容を示
す表である。この表も前記した図１２の拡大転置Ｅの表
と同様に、左上から出力のビットがどの入力ビットと同
一かを示している。例えば、Ｐ変換１２４の出力の１ビ
ット目は入力の１６ビット目と同一であり、２ビット目
は７ビット目と同一であり、以下同様である。

【００４２】図１５は上記した実施形態の変形例とし
て、ＤＥＳ暗号の安全性を強化するための構成を示す図
である。本変形例は、図１０に示すような従来のＦ関数
１１０を、図１５に示す構成によって置き換えることに
よって安全性を強化するものである。

【００４３】すなわち、入力Ｒ１２５と鍵Ｋi １２７は
従来のＤＥＳ暗号のＦ関数１２６に入力され、３２ビッ
トの出力１２８に変換される。この出力１２８は１６ビ
ットずつ入力Ｌ１２９と入力Ｒ１３０に２分割される。
そして、入力Ｌ１２９はセレクタ１３３への第１の入力
１３４として入力されるとともに、セレクタ１３２への
第１の入力１３７として入力される。また、入力Ｒ１３
０はセレクタ１３３への第２の入力１３５として入力さ
れるとともに、セレクタ１３２への第２の入力１３８と
して入力される。

【００４４】セレクタ１３１は制御入力１３３によって
２つの入力１３４、１３５のうちいずれかを出力１３９
として出力する。また、セレクタ１３２も同様に、制御
入力１３６によって２つの入力１３７、１３８のうちい
ずれかを出力１４０として出力する。ここで、２つの制
御入力１３３と１３６とは互いに負論理になっているの
で必ず異なる出力となる。すなわち、１ビットの制御線
１４１によって入力Ｌ１２９と入力Ｒ１３０を交換する
か否かが決定されてＦ関数１２６の出力となる。

【００４５】制御線１４１は内部状態１４２と接続され
ているので、入力Ｌ１２９と入力Ｒ１３０を交換するか
否かは内部状態１４２に依存することになる。内部状態
１４２は内部状態更新関数１４３によって新たな状態に
更新される。

【００４６】上記した構成法はＤＥＳ暗号に限定され
ず、同様の構成を有する他のブロック暗号に対しても適
用可能である。

【００４７】なお、上記した実施形態ではＦ関数の後段
にセレクタを配置したが、Ｆ関数の前段にセレクタを配
置するようにしてもよい。

【００４８】図１６はＤＥＳ暗号の安全性を強化するた
めの他の変形例を示す図であり、前記した図１１に示す
拡大転置Ｅ１１８を、内部状態１４６に依存した拡大転
置Ｅ′１４４に置き換えることによって、安全性を強化
するものである。図１６において、入力Ｒ１４５は内部
状態１４６に依存した拡大転置Ｅ′１４４に入力され、
出力１４７として出力される。

【００４９】図１７はこのような拡大転置Ｅ′の転置表
を示す図である。図１７において、Ｘi は内部状態１４
６からの入力であり、Ｒi は入力Ｒ１４５からの入力を
示している。左上から順にＥ′変換の出力がどの入力の
どのビットと同一であるかを示しており、例えば、出力
の１ビット目は内部状態１４６からの入力の１ビット目
であり、出力の２ビット目は入力Ｒの１ビット目であ
る。なお、拡大転置Ｅ′の転置として図１７に示すもの
以外のものを用いてもよい。

【００５０】図１８はＤＥＳ暗号の安全性を強化するた
めの他の変形例を示す図である。ここでは、内部状態に
依存してＳ箱への入力を動的に入れ替えることで安全性
の強化を図っている。

【００５１】すなわち、入力Ｒ１４８に対して拡大転置
Ｅ１４９を施した結果と、鍵Ｋi １５０との排他的論理
和の出力１５１は、内部状態１５２の値によってシフト
量が変化する可変ローテート装置１５３によってローテ
ートされた後、すなわち、ビット位置がずらされた後
で、Ｓ箱（Ｓ1 〜Ｓ8 ）１５５に入力される。

【００５２】上記した可変ローテートとしてはバレルシ
フタを用いた高速な実装法が知られている。ローテート
ビット数が少なすぎたり、多すぎたりすると暗号化の効
果が低くなってしまうので、ローテートビット数をある
決められた範囲に制限すればよい。例えば、８ビットか
ら４０ビットの範囲に設定すると範囲が３２ビットとな
る。この場合、内部状態１５２からの出力は５ビットで
よい。

【００５３】図１９はＤＥＳ暗号の安全性を強化するた
めの他の変形例を示す図である。図１９において、排他
的論理和１５９において入力Ｒ１５６と内部状態１５７
の出力との排他的論理和がとられた後、拡大転置Ｅ１５
８に入力される。排他的倫理和１５９は別の演算、例え
ば、繰り上がりを無視した３２ビット加算や減算で置き
換えてもよい。

【００５４】図２０はＤＥＳ暗号の安全性を強化するた
めの他の変形例を示す図である。従来のＤＥＳ暗号のＦ
関数では、暗号化鍵は排他的論理和によって加算されて
いたが、演算に自由度を持たせることで安全性をより高
めることができる。

【００５５】すなわち、図２０において、入力Ｒ１６０
は拡大転置Ｅ１６１において拡大転置が施された後、鍵
Ｋi １６２との間で、内部状態１６３の出力１６４で指
定された演算がＡＬＵ１６５において施される。ＡＬＵ
１６５の出力は６ビットからなる８つのグループに分割
されてＳ箱（Ｓ1 〜Ｓ8 ）１６６に入力される。これ以
降は従来のＤＥＳ暗号と同様の動作を行なう。

【００５６】図２１はＤＥＳ暗号の安全性を強化するた
めの他の変形例を示す図である。この変形例ではＳ箱の
列を入れ替えることによって安全性を強化する。ＤＥＳ
暗号のＳ箱の各行には、０から１５までの番号が１つず
つ含まれているので列の交換を行ってもその性質は変化
しない。

【００５７】内部状態１６７の８ビットの出力は上位４
ビット１６８と、下位４ビット１６９とに分離され、各
々Ｓ箱１７０のどの列を交換するかを指定するために用
いる。８つの内部状態を用意してすべてのＳ箱の内容を
変更するようにしてもよい。また、装置規模を節約する
ために、変更を行なうＳ箱を８個より少なくすることも
可能である。

【００５８】図２２は、本発明の暗号化装置によって暗
号化された暗号文を復号する復号装置におけるラウンド
関数１７７の構成を示す図である。このラウンド関数１
７７は、Ｆ関数１７８と、順序反転部１９１と、内部状
態一時記憶部１７６と、内部状態記憶手段１７４と、内
部状態更新関数１７５とを具備している。

【００５９】ブロック暗号をＯＦＢ（Out Feedback Bas
ic）モードで使用する場合は不必要であるが、使用する
モードによっては、復号処理で内部状態を逆順に更新し
なければならない。Feistel 型のブロック暗号装置での
復号処理は中間鍵を与える順序を逆転した暗号化処理と
同一の手順により行われる。これは本発明の各ラウンド
関数における内部状態の与え方も順序を逆にしなければ
ならないことを意味している。

【００６０】ラウンド関数１７７において復号処理を行
なうに先だって、内部状態記憶手段１７４に記憶された
内部状態は内部状態更新関数１７５によって更新され、
内部状態一時記憶部１７６に格納される。

【００６１】そして、復号処理時は、中間暗号文１７１
と、復号鍵１７２と、内部状態一時記憶部１７６に記憶
された内部状態を順序反転部１９１で反転した信号１７
３とがＦ関数１７８に入力されて所定の暗号化変換が行
われて、ラウンド関数１７７の出力としての中間平文１
７９が得られる。

【００６２】ｎ段のFeistel 型暗号の各段の復号鍵と暗
号化鍵の対応を図２３に示す。復号時には、暗号化のと
きの最終段であるｎ段目に用いた暗号化鍵と同一の暗号
化鍵を復号の第１ラウンド目に用い、復号の２ラウンド
目では、ｎ−１段目の暗号鍵を用いる。以下同様であ
る。

【００６３】本発明におけるFeistel 型暗号の各段にお
ける暗号化用と復号用の内部状態の対応を図２４に示
す。復号の１ラウンド目の内部状態は、暗号化の最終段
であるｎ段目の内部状態と同じでなければならず、２ラ
ウンド目では、ｎ−１ラウンド目の内部状態と同じでな
ければならない。以下、同様である。内部状態更新関数
が一方向性を有する場合は、逆順に内部状態を発生する
ことはできないことと、ｎラウンド先の内部状態を知る
ことはできないので、初期状態からはじめて、ｎラウン
ド分の内部状態をあらかじめ発生して蓄えておき、逆順
に出力する機構が必要となり、それが図２２の内部状態
一時記憶部１７６と順序反転部１９１である。

【００６４】図２５は本発明における暗号化装置と復号
装置とを融合した構成した図である。暗号化装置と復号
装置は内部状態一時記憶を除いて同じ構成であるので、
暗号化処理中か復号処理中であるかを示す信号Ｅ／Ｄ１
８０に基づいてスイッチ１８１を切り替え、内部状態記
憶手段１８２の出力、もしくは、内部状態一時記憶部１
８３の出力をＦ関数１８４に入力する構成を用いると、
装置規模を小さくすることができる。

【００６５】図２６は遅延の生じない復号処理のための
パイプライン復号処理のタイムチャートである。同図は
右に進むほど時間が経過していることを示すものとす
る。上段１８５は内部状態の更新の様子を示し、斜線の
部分１８７は内部状態の更新処理を表している。下段１
８６は復号処理の様子を示し、網掛けの部分１８８は復
号処理を表している。さらに、矢印１８９は内部状態の
更新と復号処理との対応付けるものであり、矢印１８９
の先の復号処理１９０には内部状態１８７が用いられる
ことを表している。

【００６６】図２６において、時間的な処理の流れを考
察すると、復号処理１８８と同時に次の復号処理１９０
に必要となる内部状態の更新処理１８７が行われてお
り、これによって、内部状態の更新処理に起因する処理
の遅延を回避することが可能となる。

【００６７】

【発明の効果】本発明によれば、処理速度を考慮して少
ない段数の変換部で装置を構成した場合であっても暗号
文の安全性をより増大させることができる。

【図面の簡単な説明】

【図１】本発明の一実施形態に係るラウンド関数の構成
を示す図である。

【図２】ラウンド関数をｎ段並置した積暗号の構成例を
示す図である。

【図３】内部状態が内部状態更新関数によって逐次更新
されていく経過を示す図である。

【図４】図１に示すラウンド関数が、内部状態初期化信
号を有する場合の動作を説明するための図である。

【図５】暗号化装置をブロック暗号モードで使用すると
きの動作を説明するための図である。

【図６】暗号化装置をストリーム暗号モードで使用する
ときの動作を説明するための図である。

【図７】本発明を秘密通信に適用した場合の作用を説明
するための図である。

【図８】本発明を秘密通信に適用した場合の他の実施形
態を示す図である。

【図９】図１に示した内部状態更新関数の具体的構成を
示す図である。

【図１０】ＤＥＳ暗号の全体構成を示す図である。

【図１１】ＤＥＳ暗号におけるＦ関数の詳細な構成を示
す図である。

【図１２】拡大転置Ｅに関する転置表である。

【図１３】Ｐ転置の内容を示す表である。

【図１４】Ｓ箱の内容を示す図である。

【図１５】本実施形態の変形例として、ＤＥＳ暗号の安
全性を強化するための構成を示す図である。

【図１６】ＤＥＳ暗号の安全性を強化するための他の変
形例を示す図である。

【図１７】図１６に示す変形例に関する拡大転置の表で
ある。

【図１８】ＤＥＳ暗号の安全性を強化するための他の変
形例を示す図である。

【図１９】ＤＥＳ暗号の安全性を強化するための他の変
形例を示す図である。

【図２０】ＤＥＳ暗号の安全性を強化するための他の変
形例を示す図である。

【図２１】ＤＥＳ暗号の安全性を強化するための他の変
形例を示す図である。

【図２２】本発明の暗号化装置により暗号化された暗号
文を復号する復号装置におけるラウンド関数の構成を示
す図である。

【図２３】Feistel 型暗号の各段における復号鍵と暗号
化鍵との対応を示す図である。

【図２４】Feistel 型暗号の各段における復号用と暗号
化用の内部状態の対応を示す図である。

【図２５】本発明における暗号化装置と復号装置とを融
合した構成を示す図である。

【図２６】遅延の生じない復号処理のためのパイプライ
ン復号処理のタイムチャートである。

【符号の説明】

１…Ｆ関数、２…内部状態記憶手段、３…内部状態更新
関数、４…平文、５…暗号化鍵、６…内部状態、７…出
力、８…ラウンド関数。

Claims

【特許請求の範囲】

【請求項１】内部状態を記憶するための記憶手段と、この記憶手段に記憶された内部状態を更新するための内
部状態更新手段と、暗号化すべきデータと、暗号化鍵と、前記記憶手段に記
憶された内部状態とを受けて暗号化変換を行なう暗号化
変換手段と、を具備する変換部を複数段設けた暗号化装置であって、前記暗号化変換手段により暗号化変換を行なうたびに、
前記記憶手段に記憶された内部状態を前記内部状態更新
手段によって更新するようにしたことを特徴とする暗号
化装置。
【請求項２】暗号化すべきデータと、暗号化鍵とを受
けて暗号化変換を行なう暗号化変換手段と、内部状態を記憶する記憶手段と、この記憶手段に記憶された内部状態を更新するための内
部状態更新手段と、を具備する変換部を複数段設けた暗号化装置であって、前記暗号化変換手段により暗号化変換を行なうたびに、
前記記憶手段に記憶された内部状態を前記内部状態更新
手段によって更新しつつ、前記記憶手段に記憶された内
部状態に応じて前記暗号化変換手段の出力を制御するよ
うにしたことを特徴とする暗号化装置。
【請求項３】前記内部状態更新手段が一方向性の関数
であることを特徴とする請求項１または２記載の暗号化
装置。
【請求項４】前記内部状態を初期化することを指示す
るための入力部をさらに有することを特徴とする請求項
１乃至３のいずれかに記載の暗号化装置。
【請求項５】前記暗号化変換手段により暗号化変換を
行なうたびに、前記内部状態を初期化することを特徴と
する請求項４記載の暗号化装置。
【請求項６】暗号化装置から得られた暗号文を送信者
と受信者間で通信するに先だって、前記内部状態を一度
だけ初期化するようにしたことを特徴とする請求項４記
載の暗号化装置。
【請求項７】送信者と受信者間で暗号化装置から得ら
れた暗号文を通信するにあたって、両者間であらかじめ
定めておいたタイミングで前記内部状態を初期化するよ
うにしたことを特徴とする請求項４記載の暗号化装置。
【請求項８】前記暗号化すべきデータが、前記内部状
態を初期化するタイミングを指示するデータを含んでい
ることを特徴とする請求項１乃至３のいずれかに記載の
暗号化装置。
【請求項９】前記暗号化変換手段が暗号化すべきデー
タを拡大転置する拡大転置部と、この拡大転置部の出力
と暗号化鍵との間で所定の演算を行なう演算部と、この
演算部からの出力を複数のグループに分離して、各グル
ープごとに所定の置換を施す換え字部とを具備すること
を特徴とする請求項１または２記載の暗号化装置。
【請求項１０】前記拡大転置部に更新可能な内部状態
を入力して、その出力を制御するようにしたことを特徴
とする請求項９記載の暗号化装置。
【請求項１１】前記演算部からの出力のビット位置を
ずらすためのビット位置可変部をさらに具備し、このビ
ット位置可変部に更新可能な内部状態を入力して、その
出力を制御するようにしたことを特徴とする請求項９記
載の暗号化装置。
【請求項１２】前記拡大転置部において暗号化すべき
データを拡大転置するに先だって、更新可能な内部状態
との排他的論理和をとるようにしたことを特徴とする請
求項９記載の暗号化装置。
【請求項１３】前記演算部に更新可能な内部状態を入
力してその出力を制御するようにしたことを特徴とする
請求項９記載の暗号化装置。
【請求項１４】前記換え字部に更新可能な内部状態を
入力してその出力を制御するようにしたことを特徴とす
る請求項９記載の暗号化装置。
【請求項１５】内部状態を記憶手段に記憶する記憶工
程と、記憶された内部状態を内部状態更新手段によって更新す
る内部状態更新工程と、暗号化すべきデータと、暗号化鍵と、記憶された内部状
態とを受けて暗号化変換手段によって暗号化変換を行な
う暗号化変換工程と、を具備する変換工程を複数回行なう暗号化方法であっ
て、前記暗号化変換工程において暗号化変換を行なうたび
に、前記記憶手段に記憶された内部状態を前記内部状態
更新手段によって更新する工程を具備することを特徴と
する暗号化装置。
【請求項１６】暗号化すべきデータと、暗号化鍵とを
受けて暗号化変換手段によって暗号化変換を行なう暗号
化変換工程と、記憶手段に内部状態を記憶する記憶工程と、記憶された内部状態を内部状態更新手段によって更新す
る内部状態更新工程と、を具備する変換工程を複数回行なう暗号化方法であっ
て、前記暗号化変換工程において暗号化変換を行なうたび
に、前記記憶手段に記憶された内部状態を前記内部状態
更新手段によって更新しつつ、前記記憶手段に記憶され
た内部状態に応じて前記暗号化変換手段の出力を制御す
る工程を具備することを特徴とする暗号化方法。